SQLストアドプロシージャは安全ですか？

Question

mysql_query("SELECT important_data FROM users WHERE password = $password")のようなものよりもSQLインジェクションの影響を受けにくいですか？

Answer 1

あなたの行っているものよりも安全です。あなたのクエリは未処理のSQLをdbにポストしています。つまり、パラメータがSQLパラメータとして扱われるのではなく、古いSQLと同じように扱われます。

ここが私の言いたいことです。

ストアドプロシージャでは、パスワード変数はSQLにすることはできません。システムが探している情報の一部でなければなりません。 .....そう誰かがSELECT

ような何かを行うことができます - あなたの例では、実際にパスワード=（$パスワード変数「ここであなたのパスワード」）がユーザからデシベルである

SELECT *に送られているもの* FROM user WHERE Password =（ 'あなたのパスワードはここ'; SELECT * FROM User - $ password変数）。まだ

か悪いか：ユーザから

SELECT * WHEREパスワード=（ 'ここにあなたのパスワード'; DROPのデータベースdatabase_name - $パスワード変数）。

入力パラメータが余分なSQLとして実行されないため、非動的SQLストアドプロシージャはこれを許可しません。

パラメータ化されたSQLはこれを処理しますが、テーブル内の情報にアクセスするユーザーには読み取りアクセスが必要ないため、技術的にストアドプロシージャはまだ少し安全です。ストアドプロシージャを実行できるだけで済みます。あなたの必要性に応じて、これは場に出るかもしれません。

Answer 2

安全な技術はありません。テクノロジーは安全な方法でのみ使用できます。

しかし、ストアドプロシージャでは、SQLインジェクションを可能にするために、わずかにクリエイティブなコーディングが必要です。何も私が認識している任意のSQLデータベースエンジンで文字列を連結することを妨げません。

Answer 3

必ずしもそうではありませんが、内部で文字列連結を行うことができ、エクスポージャーは同じになります。動的SQLをパラメータ変数（SQLを生成する文字列連結なし）と一緒に使用すると、かなり保護されます。

Answer 4

彼らが正しくパラメータ化されていると、あなたは彼らがより安全です、動的SQLをしていないと、あなたも限り、あなたはパラメータを使用してUSER-のための文字列の連結を使用していないとして、実行計画の再利用から

Answer 5

の利益になる場合SQLインジェクションのリスクはありません。ストアドプロシージャは、パラメータを使用することを推奨するため、この側面では少し「安全」です。しかし、手順の中であなたが何かをする場合

EXECUTE 'SELECT important_data FROM users WHERE password = ' + @password 

その後、あなたはSQLインジェクションに非常に脆弱です。

また、ストアドプロシージャではなくパラメータも使用できる「prepared statements」などがあります。したがって、SQLインジェクションを回避するために使用できます。